高校信息與網絡安全面臨的威脅與對策

李俊磊

摘 ? 要：新形勢下，隨著高校信息化的快速發展，各種新興技術逐步融合校園網絡，在網絡安全日益嚴峻的背景下，信息與網絡安全問題成為高校校園安全重點關注的領域之一。文章通過對高校信息與網絡安全的嚴峻現狀分析，提出了應對策略，只有多維度筑牢安全之網，提高防護能力和水平，才能提升高校信息與網絡安全，構建平安校園，保障高校教育事業蓬勃發展。

關鍵詞：校園網絡;網絡安全;平安校園;網絡安全體系

中圖分類號： TP309 ? ? ? ? ?文獻標識碼：A

Abstract： Under the new situation， with the rapid development of information technology in Colleges and universities， various emerging technologies are gradually integrated into the campus network. Under the increasingly severe background of network security， the problem of network and information security has become one of the key areas of campus security. Based on the analysis of the current situation of network and information security in colleges and universities， this paper puts forward some countermeasures. Only by building a multi-dimensional safety network and improving the protection ability and level， can we improve the network and information security in Colleges and universities， build a safe campus， and ensure the vigorous development of Education in Colleges and universities.

Key words： campus network; network security; safe campus; network security system

1 引言

隨著計算機技術和互聯網+的不斷發展，各行各業都融入了信息化，特別在教育領域，以教育信息化全面推進教育現代化。為推進高水平大學建設，提升高校管理水平和辦事效率，更好地服務師生，大數據、人工智能、云計算、虛擬化、人臉識別等新技術融入校園信息化建設中，校園網絡不斷升級，在“互聯網+教育”[1]模式下，從數字化校園向智慧校園[2]發展，智慧校園如雨后春筍般在各高校興起。這使校園網絡在高校成了必備的辦學條件，校園網絡滲入高校日常管理的各個方面，推動信息技術在教學科研管理中的全面應用，發揮信息技術在學校教學改革創新中的引領和支撐作用。

但近年來，隨著網絡安全問題的日益突出，病毒侵害、黑客攻擊、數據篡改和丟失、校園貸、網絡詐騙和意識形態問題等網絡安全隱患在高校頻繁出現，不斷威脅著學校的信息與網絡安全，信息安全專業技術人員短缺，形勢十分嚴峻。高校作為我國各行業人才儲備、科研項目承接機構，各業務系統都存儲著學校重要信息及大量教職工和學生的個人信息，一旦發生師生數據泄露、科研數據被竊取等安全事件將會造成重大損失。

2 高校校園網普遍存在的安全威脅

隨著高校校園網絡規模的擴大，校園網絡覆蓋面接近100%，無線和有線并存，多個網絡供應商共存，使得網絡監管更是難上加難。信息化建設給高校教育和學生學習生活帶來便利的同時，也為高校管理帶來了挑戰。特別是網絡上的不良網貸、網絡詐騙、網絡黑勢力、非法組織發布的各種洗腦視頻和不利于大學生身心健康的信息等，正在嚴重的侵害大學生，同時校園網絡也是黑客攻擊和病毒泛濫的重災之地，高校的信息與網絡安全形勢嚴峻。常見的威脅主要有五個方面。

2.1 軟硬件設備自身的安全缺陷

高校中網絡規模越來越大，復雜度越來越高，網絡設備、服務器、主機、移動設備和其他電子設備數量龐大，教師教學使用的公共電腦、大學生公共機房和圖書閱覽室的電腦都是共用的，存在“重使用輕管理”的情況，U盤、移動硬盤等移動存儲設備經常到處亂插，增加了感染病毒的風險，且高校網絡屬于局域網，當其中一臺主機受到完全威脅時，整個校園網絡的安全性將處于危機之中。另外由于正版軟件費用昂貴，大部分高校在安裝操作系統和應用軟件時，通過網上資源搜索下載并安裝盜版、破解版軟件，很多軟件在安裝的過程中就植入木馬病毒，有些軟件還存在著安全漏洞，很多病毒和攻擊就可利用漏洞進行借勢發揮。這給校園網絡安全也埋下隱患。

2.2 師生的信息與網絡安全意識不強

高校所容納的人員群體特殊，教師和大學生都是知識分子，他們接受了高等教育，素質很高，容易接受新鮮事物，特別是大學生對網絡世界更是好奇，加之辦公自動化、翻轉課堂、MOOC教育[3]的興起，使得師生在校使用網絡的時間和頻率顯著提升。在開放的網絡空間中，雖然學校配置了安全穩定的網絡環境，但由于部分人員的信息與網絡安全意識偏低，認為在網絡上可以為所欲為，肆無忌憚地發表言論、瀏覽各種網頁和從網絡平臺下載各種不正規的應用軟件。高校作為意識形態的重要陣地，用戶的網絡安全意識淡薄，給高校的政治安全和網絡安全帶來了嚴重的威脅[4]。

2.3 網絡病毒和非法入侵泛濫

高校中含有的個人隱私數據和重要科研數據非常多，教職工和學生的個人信息價值高，加之數據共享程度高，容易成為黑客的目標。網絡犯罪分子可以利用黑客技術計算機病毒無處不在，黑客猖獗，主要有安全漏洞、網絡攻擊、垃圾郵件、僵尸網絡、惡意代碼、黑名單等。如果高校網絡中的設備不安裝殺毒軟件或殺毒軟件版本更新不及時，就會造成病毒蔓延全校。

2.4 云平臺已成為網絡攻擊的重災區

隨著業務系統不斷開發，各高校出現資源分布不均、維護成本高、資源共享率較低、更新速度慢等難題，為解決這些弊端，整合資源，提高硬件資源的利用率，節省成本和空間，高校將視角轉向了云平臺，購買公有云或自己搭建私有云平臺，將數據和信息存儲于云端，云的安全性給高校的信息與網絡安全帶來挑戰。國家互聯網應急中心（CNCERT）表示在2019年上半年，發生在我國云平臺上的網絡安全事件或威脅情況相比2018年進一步加劇，云平臺已成為網絡攻擊的重災區。一方面是因為云上承載業務和數據越來越多、越來越重要，使得針對云的攻擊日益增多;另一方面是云用戶對網絡安全防護重視不夠。云平臺面臨的風險不僅僅是被攻擊，安全措施沒做到位，還有可能成為攻擊者的“幫兇”，并且攻擊者開始鐘愛利用云主機作為跳板機或控制端來進行網絡攻擊。因此，高校的云平臺網絡安全形勢令人堪憂。

2.5 網絡安全管理人員不足和能力有限

在高校中，信息與網絡安全管理人員的地位尷尬，甚至被認為就是“維修工”，發展前景不樂觀，導致人員流動性大，存在“引不進、留不住”的困境，大部分高校的網絡技術人員配備不足，沒有專門的職能部門負責學校的網絡安全管理工作，管理人員的經驗和能力不足，對網絡信息安全事件的應急措施和處理能力都存在隱患，難以應對當前嚴峻的校園網絡安全形勢。

3 造成高校信息與網絡安全威脅的原因

3.1 單位重視不夠，管理機構缺失

高校前期在信息化領域的工作重心主要放在信息化建設，對網絡安全認識不足，缺乏足夠的關注和警覺，重視力度不夠，大多設有信息化建設機構，沒有專門機構負責信息與網絡安全工作，導致工作無法正常開展。

3.2 網絡安全專業人員缺乏

網絡安全領域是后起之秀，大部分高校之前都沒有開設網絡安全專業，培養網絡安全人才的機制不成熟，導致全國網絡安全專業人才缺口非常大，目前大多數人從事網絡安全領域工作的人都是半路出家，通過后期的工作接觸和培訓才成為專業人員，因此造成高校即使設有機構也出現人員力量嚴重不足或者是出現兼職人員的情況，導致網絡安全管理處于探索階段，崗位上人員和能力不匹配，技術防護能力難以應對安全挑戰。

3.3 高校對信息與網絡安全投入不足

隨著《中華人民共和國網絡安全法》[5]出臺，很多高校都開始著手加強網絡安全防護的軟件和硬件方面的投入，構建了一定的網絡安全體系，但是投入存在不足和滯后的現象，并且網絡安全是一個常態化持久戰，需要不斷地關注投入和建設，不能一蹴而就，一勞永逸。目前，有些高校開始盲目自信對網絡安全方面的投入縮減甚至終止，這是比較危險的。

4 高校信息與網絡安全的應對策略

教育信息化是國家信息化重要組成部分，而高校信息與網絡安全工作關系著教育信息化的穩步推進和教育事業的改革發展，對于高校信息與網絡安全工作“防患于未然”其實遠比事后“救火”要更有效。只有多措并舉提升網絡安全防護能力，才能切實筑牢網絡安全屏障。

4.1 夯實信息與網絡安全責任，層層抓落實

高校要認真貫徹落實總書記、國家以及各級關于網絡安全的重要指示精神，高校各級領導干部和全校上下應深刻認識“沒有網絡安全就沒有國家安全”“網絡安全為人民，網絡安全靠人民”的理念。確保學校信息和網絡安全，單靠一個人或一個部門是無法做到的，必要全校都參與，上下齊心，群防共治。由于高校業務系統多，管理起來比較復雜，而且使用者和管理者往往責任劃分不清，為此落實“誰主管誰負責，誰運行誰負責，誰使用誰負責”[6]的網絡安全責任體系，壓實網絡安全工作主體責任，可以與各二級學院和部門簽署《信息與網絡安全責任書》，落實信息與網絡安全責任。將網絡安全責任落實到崗、落實到人，化責任為動力，做到領導到位、人員到位、責任到位、措施到位。

4.2 制定和完善制度體系，打牢信息與網絡安全基礎

在很多時候，信息與網絡安全受到威脅并不是由于外部侵襲造成的，而往往由于內部疏于管理，安全意識淡薄等內因造成。高校應建立安全機制，完善網絡信息安全保障體系，制定針對網絡安全的相關制度，從制度上明確信息與網絡安全管理工作的責任和具體工作流程，制定《校園網管理辦法》《校園網運行與信息安全應急工作預案》《網絡安全事件應急預案》《網絡安全監測與處置辦法》等校園網絡管理規定，建立完善信息發布、審核和管理制度，確保日常信息與網絡安全管理工作依法依規落地執行。同時，由于高校的數據共享程度非常高，應明確數據管理主體，規定數據共享規則，制定《信息系統數據管理辦法》，明確數據提供者、數據管理者、數據使用者和平臺管理者，每個角色在數據流轉和使用的過程中遵循數據共享規范和標準。建立標準化接口，規范信息交換共享，嚴格控制共享條件。

4.3 嚴管信息發布，加強輿情監測

在目前各高校的宣傳媒體平臺多樣化、存在“易建難維護”甚至脫離管理的狀況，應加強信息發布的審批和監督力度，形成宣傳部門、保衛部門、學工部門和網絡信息技術和安全部門人員協同的輿情監督體系，對每個平臺實行負責人實名制，建立網站和信息平臺建設、信息發布審批流程，對信息發布的權限，發布流程進行明確，防范不合規的信息發布，同時加強對學校貼吧、微信群、QQ群、BBS、公眾號、網站等進行輿情重點監測，杜絕反動、邪教、色情、毒品、賭博等敏感信息的出現。

4.4 積極開展信息系統等級保護工作，建立應用系統和網站臺賬

按照《中華人民共和國網絡安全法》及“等保2.0”要求，推動網絡安全等級保護測評工作常態化，認真落實網絡安全等級保護制度，依據“消化存量、控制增量”的原則，對已上線的信息系統實施等級保護進行定級、備案、測評和整改工作，同時對正在建設的系統按照等保要求進行建設，對新系統在招標環節加入等保測評要求。對所有部署在學校服務器上的應用系統進行定期排查，實行實名登記和管理，填寫網站備案表，建立詳細的校內對外服務信息系統臺賬，對學校的所有信息應用系統（網站）進行全面檢查、清理，對僵尸系統進行關停并注銷域名，對各應用系統和無線網絡的弱密碼賬號進行修改，增強密碼復雜度，同時便于管理可搭建網站群統一管理平臺，對分散系統進行集中管理。

4.5 加強校園網絡安全軟硬件建設，落實技防保障

從高校的軟硬方面著手，不斷完善網絡安全防護體系，構建“防火墻+WAF+漏洞掃描+滲透+行為審計+態勢感知+一鍵斷網”[7]的技防體系，在互聯網出口處部署流量控制設備及下一代防火墻，升級網絡負載均衡設備;在服務器前端部署入侵防御系統、WAF設備對Web應用服務提供安全監測和防御，部署網頁防篡改系統;在校內教學內部署服務器防病毒系統，實現管理的主機可管可控，桌面設備都安裝殺毒軟件。全面構筑信息安全防護屏障，安裝網絡身份認證網關、上網行為審計系統、堡壘機、入網規范管理平臺。部署數據中心虛擬化防護墻、數據庫審計系統、流量分析監控攻擊系統、漏洞掃描系統等信息安全防護設備。同時，為了能夠對校園網絡有動態認識以及對網絡情況進行提前預警，可增加全網安全態勢感知系統，通過對各類網絡安全和信息化設備日志的采集，對整體網絡狀況的研判、分析、決策和及時響應，通過流量分析技術實現完整的網絡攻擊溯源取證，提升網絡安全隱患監測能力和應急處置能力。對遇到安全事件時，可實現一鍵斷網，阻斷網絡安全事件的蔓延。

4.6 加強培訓，提高師生的網絡安全意識和技能

各高校應建立行之有效的教育技術培訓體系，將網絡安全培訓常態化，對全校師生進行全覆蓋培訓，以提高師生的網絡安全意識和網絡安全防護技能[8]。重視從事信息化和網絡安全人員的培訓和技能提升工作，積極組織參加各類信息化、網絡安全會議和培訓工作，逐步實現全員參與專業培訓，不斷提升崗位人員的業務素質和技術水平。同時，組織多種新媒體方式宣傳網絡安全知識，組織大學生網絡安全知識競賽，特別利用好國家網絡安全周把宣傳教育工作做好做實，普及信息與網絡安全知識，讓網絡安全意識融入師生生活，提高網絡安全防護技能，內化于心，外化于形，提高用網治網水平，構筑清朗的校園網絡空間，在師生中形成共建網絡文明的良好氛圍。

4.7 規范遠程運維，避免有機可乘

為提高工作效率，各運維公司在對服務器設備進行運維時，大部分運維工程師會要求通過遠程控制軟件完成遠程服務，由于有些工程師幾乎不熟甚至素未謀面，建立遠程后，運維工程師擁有了相對的操作權限，如果沒有全程監管，不排除存在安全隱患，因此需要規范遠程運維，對遠程訪問端口（3389、22等端口）進行管理，可以通過管理手段，強制要求所有對服務器的遠程訪問都通過“堡壘機”進行，做到信息服務人員遠程維護可控可查，保障核心服務器區的基本安全。

4.8 自建團隊與外包服務相結合，加強人防值守

俗話說“三分靠技術，七分靠管理”，在信息與網絡安全工作上應加大人員投入，加強信息與網絡安全管理力度。目前絕大多數高校由于自身人員緊缺，導致沒有足夠的人力和精力投入安全管理工作，可以通過采購網絡安全服務，建立三層架構安全防護人員組織（校內網絡安全運維人員、校外專家、外包服務安全駐場團隊），加強日常信息與網絡安全的定期巡檢與輿情監控，形成信息與網絡安全周報。在國內重要和特殊時期，嚴格落實7×24小時網絡安全在崗值守制度，確保人員的實時響應。

4.9 與兄弟院校建立網絡安全聯盟，共享威脅情報

各高校的信息與網絡安全工作具有共性和個性并存，有時出現的網絡安全問題具有普遍性，不同高校具有自身的優勢，因此通過建立網絡安全聯盟，共享威脅情報，形成網絡安全研討會議機制，定期召開網絡安全專題分享會，高校間應加強合作，攜手共進，共同推進高校信息與網絡安全管理事業取得突破性發展。

5 結束語

在大數據時代，高校提高和完善高校的教學環境，為全校師生提供安全的網絡空間，是高校必須要做好的一件大事。高校的信息與網絡安全工作關系著教育信息化的穩步推進和教育事業的改革發展，校園網絡安全影響學校的教學科研、日常工作以及學生學習生活。各高校應加強校園網的信息與網絡安全管理，多措并舉提升網絡安全防護能力，全校共同參與，校園信息和網絡安全人人有責，共同保障校園網絡安全，堅守網絡安全這一片凈土。

基金項目：

1.廣東省教育學會課題（項目編號：19GGZ052）;

2.廣東省司法行政研究課題（項目編號：GDSFT20071）。

參考文獻

[1] 南旭光，張培.“互聯網+”教育：現實爭論與實踐邏輯[J].電化教育研究，2016（9）：55-60+75.

[2] 楊萍，姚宇翔，史貝貝，等.智慧校園建設研究綜述[J].現代教育技術，2019（1）：18-24.

[3] 謝怡寧.基于翻轉課堂及MOOC的教學模式研究[J].黑龍江教育學院學報，2018（3）：35-37.

[4] 楊鈺琳，楊翠翠.大學生網絡安全教育現狀及對策研究[J].網絡空間安全，2020（3）：85-89.

[5] 王春暉.《網絡安全法》六大法律制度解析[J].南京郵電大學學報（自然科學版），2017（1）：1-17.

[6] 高靜.高校網絡安全體系框架研究[J].信息與電腦（理論版）， 2018：22.193-194.

[7] 王寧邦.高校智慧圖書館信息安全體系構建[J].西華大學學報（自然科學版），2019（6）：57-66.

[8] 曹偉杰.淺談高校網絡安全現狀存在問題及對策研究[J].科技創新與應用，2017（31）：126，128.